Next.js 보안 업데이트, 원격 코드 실행 취약점 2건 패치

요약

Next.js 팀이 8월 보안 릴리스를 내고 16.3.3(Active LTS)과 15.5.24(Maintenance LTS) 패치 버전을 배포했다.
이번 릴리스는 인증 없이 원격 코드 실행(RCE)으로 이어질 수 있는 치명적(Critical) 등급 취약점 2건을 다룬다.
당초 하루 뒤 1건만 고칠 예정이었으나, 업스트림 의존성에서 추가 취약점이 확인되자 일정을 앞당겨 함께 배포했다.
직접 서버를 운영하는 환경은 즉시 업그레이드가 권고된다.

주요 내용

• 첫 번째는 이미지 최적화 API 문제다. sharp가 사용하는 libheif 라이브러리의 취약점 때문에, 공격자가 제어하는 AVIF 이미지를 최적화할 때 RCE가 발생할 수 있다(GHSA-2xp9-vwfh-vxw4).
• 패치 버전은 업스트림 수정이 반영될 때까지 AVIF 최적화를 비활성화한다.
• 두 번째는 Windows 파일시스템에서 구동되는 서버 중 Pages Router와 App Router를 함께 쓰면서 Cache Components를 사용하지 않는 앱에 해당한다(CVE-2026-75604). Linux와 macOS는 영향이 없고, Windows 환경에는 별도 우회책이 없다.
• 업그레이드는 npm install [email protected] 또는 npm install [email protected]로 할 수 있다.
• Vercel은 자사에서 호스팅하는 앱은 이미 보호돼 별도 조치가 필요 없다고 밝혔고, Netlify도 영향 경로를 쓰지 않는다고 안내하면서 업그레이드는 권장했다.

왜 중요한가

두 취약점 모두 인증 없이 서버에서 코드를 실행할 수 있는 등급이라, 셀프 호스팅 팀은 다른 작업보다 우선해 대응할 필요가 있다. 이미지 처리 라이브러리 같은 간접 의존성의 결함이 프레임워크 전체의 보안 문제로 번질 수 있다는 점에서 의존성 관리의 중요성을 다시 보여준 사례다.

nextjs.orgAugust 2026 Security ReleaseThe August 2026 security release for Next.js is now available